Ich kann bzw. werde nur zu dem zweiten Punkt etwas sagen. Hier wurde ja keine kryptografische Verschlüsselung “gebrochen”, sondern es wurde eine Umleitung (der “Man in the middle”) eingeführt, eingehende Daten vom Client (Nutzer) mitgeschnitten und an den Server weitergeleitet.

Das können sowohl Nutzer als auch Serveradmins merken, theoretisch. Nutzerseitig geht man im Moment eben noch davon aus, dass nur solche CAs vom Browser als Vertrauenswürdig eingestuft werden, die bestimmte Mindestkriterien erfüllen. Das ist heute bereits nicht perfekt, wie etwa hier dazu angemerkt wurde.

Aber zumindest ist es nach heutigem Stand für diese CAs verpflichtend, dass sie sich an den “Certificate Transparency Log”-Standard halten. Ungewöhnliche Logeinträge haben die Server-Admins in dem verlinkten Artikel auch bemerkt und auf crt.sh verwiesen, sie hatten aber kein automatisches Monitoring dafür.

Wenn man eine Domain verwaltet, kann man nach unauthorisiert ausgestellten Zertifikaten Ausschau halten. Das kann man entweder selbst irgendwie implementieren. Oder man nutzt halt vorhandene Dienste wie hier beschrieben, bei welchen man automatisch alarmiert wird.